Разследване на CBC News установи, че са изтекли повече от 1,5 милиона канадски сигнала до Crime Stoppers, което повдига трудни въпроси относно анонимността при пробива в данните на Crime Stoppers и доколко обещанието за поверителност се спазва, когато трета страна съхранява данните. Полицията в Кингстън заяви, че хакер е откраднал 100 000 документа при „киберинцидент“ през 2025 г., и вече е започнало канадско разследване.

Тази публикация се придържа към това, което CBC е съобщила досега. Някои подробности, включително пълният обхват на изложеното, може да се променят с напредването на разследването.

Какво разкри изтичането на данни от Crime Stoppers

Според обобщението на CBC за нейните констатации изтеклите данни включват повече от 1,5 милиона канадски сигнала. Разследването беше започнато след пробив в данните, при който бяха изложени милиони идентификатори. Полицията в Кингстън заяви, че хакер е откраднал 100 000 документа при киберинцидент през 2025 г.

Интервютата на CBC и анализът ѝ на канадското съдържание в изтеклите данни сочат три пропуска от страна на Crime Stoppers и компанията, на която е възложено управлението на базата ѝ данни:

  • Самоличността на подаващите сигнали не е била защитена.
  • Личната информация е оставена без редактиране.
  • Десетилетия чувствителни записи са били неправомерно съхранявани.

Това са констатациите на CBC от собствените ѝ интервюта и анализ. Репортажът не предполага, че всеки сигнал е разкрил самоличността на дадено лице, но посочва, че някои подаващи сигнали може да бъдат идентифицирани.

Как доставчик превърна анонимните сигнали в идентифицируеми записи

Програмите на Crime Stoppers обещават, че хората могат да предадат информация, без да дават имената си. Това обещание е толкова силно, колкото системите зад него. Когато една организация предаде съхранението на сигнали на наета компания, навиците на доставчика стават част от гаранцията за поверителност: какво се редактира, кой има достъп до записите и колко дълго се съхраняват.

Констатациите на CBC сочат към познат модел. Анонимността в момента на събирането не гарантира анонимност при съхранението. Ако полетата за свободен текст в сигналите съдържат имена, адреси, телефонни номера или други идентифициращи данни и никой не ги премахне, базата данни може да се превърне в запис кой какво е казал. Съхраняването на тези записи в продължение на десетилетия разширява прозореца, в който едно единствено проникване може да причини вреда.

Същата динамика се появява и при други инциденти, при които трети страни-администратор съхранява данни от името на много организации. Нашето отразяване на това как DentaQuest потвърди, че 15 млн. пациенти са засегнати показва как пробивът при един администратор може да достигне до много повече хора, отколкото организациите, които първоначално са събрали информацията. Читателите могат също да видят как усилията за уведомяване за пробива на DentaQuest достигнаха до 15 милиона пациенти в последвалите уведомления.

Вашите права относно запазването на данни съгласно PIPEDA

Федералният канадски закон за поверителност в частния сектор — Законът за защита на личната информация и електронните документи (PIPEDA) — е рамката, към която много канадци се обръщат, когато искат да знаят каква информация за тях съхранява дадена организация. Обобщението на статията на CBC не посочва кои закони се прилагат за случая с Crime Stoppers, така че този раздел представлява общи насоки, а не правна оценка на този инцидент.

В общи линии PIPEDA е изграден около принципи като ограничаване на събирането, ограничаване на запазването и защита на личната информация. Лицата обикновено могат да попитат дадена организация каква лична информация съхранява за тях и могат да отправят въпроси към служителя по защита на личните данни на организацията. Ако отговорът е незадоволителен, може да се подаде жалба до Службата на комисаря по поверителност на Канада.

Въпросът за запазването е от централно значение тук. Констатацията на CBC, че десетилетия чувствителни записи са били неправомерно съхранявани, е точно от вида проблем, който ограниченията за запазване са предназначени да адресират: данни, които вече не служат на никаква цел, са отговорност, чакаща пробив.

Как да ограничите това, което споделяте с услуги на трети страни

Не можете да одитирате базата данни на даден доставчик, но можете да контролирате какво постъпва в нея. Тези навици намаляват излагането ви:

  • Споделяйте само необходимото. Ако подавате сигнал, придържайте се към фактите за събитието. Пропуснете собственото си име, месторабота, връзка с хората, involved, или подробности, които само вие бихте знали.
  • Избягвайте идентифициращи странични подробности. Стилът на писане, времето и конкретиката за това как сте научили нещо могат да насочат обратно към вас дори без име.
  • Използвайте устройство и мрежа, с които се чувствате удобно. VPN може да скрие вашия IP адрес от даден уебсайт, но не прави нищо относно това, което въвеждате във формуляр, така че не е заместител на внимателното формулиране.
  • Попитайте кой управлява услугата. Много публични програми разчитат на външни платформи. Тяхната политика за поверителност трябва да посочва кой обработва вашата информация и за колко време.
  • Приемайте, че съхраняваните данни могат да изтекат. Отнасяйте се към всеки формуляр, който попълвате, като към нещо, което един ден може да стане публично.

Какво означава това за вас

Ако някога сте подавали сигнал до програма на Crime Stoppers, констатациите на CBC са причина да прегледате какво сте включили, а не причина за паника. Дали даден конкретен сигнал може да бъде проследен до дадено лице зависи от съдържанието му, а разследването все още продължава. Ако сте обезпокоени, обмислете да се свържете със съответната програма или със Службата на комисаря по поверителност на Канада, за да попитате каква информация се съхранява и как е защитена.

В по-широк план тази история показва, че анонимността е свойство на цялата система, а не само на формуляра за подаване. Големите пробиви често се проследяват до доставчик, както се вижда при инциденти като твърдението на ShinyHunters, свързано с данни на ФБР, където бяха посочени множество компании във връзка с предполагаемата кражба.

Основни изводи

  • CBC съобщава, че са изтекли повече от 1,5 милиона канадски сигнала до Crime Stoppers, а полицията в Кингстън заяви, че хакер е откраднал 100 000 документа при инцидент през 2025 г.
  • Анализът на CBC сочи, че самоличността на подаващите сигнали не е била защитена, личните данни не са били редактирани и са били съхранявани записи от десетилетия.
  • Анонимността при пробива в данните на Crime Stoppers зависи от това как доставчиците съхраняват и изчистват данните, а не само от това какво обещава даден формуляр.
  • Питайте всяка организация, с която имате работа, какви лични данни съхранява, кой ги обработва и за колко дълго. Може да имате права върху тази информация съгласно PIPEDA.
  • Продължавайте да четете нашето отразяване на пробиви, включващи администратори на трети страни, включително свързаната по-горе история за уведомленията на DentaQuest, за да видите как тези пропуски се повтарят.